AVG-nalevingsverklaring

1. Inleiding

De Algemene Verordening Gegevensbescherming (AVG), oftewel Verordening (EU) 2016/679, is van kracht vanaf 25 mei 2018 en vervangt dienovereenkomstig de nationale wetgeving en de Europese Privacyrichtlijn. De AVG heeft tot doel de privacy en veiligheid van de persoonlijke informatie van EU-burgers te verbeteren. Het vereist geen machtigingswetgeving en is daarom vanaf die datum van toepassing en bindend.

De AVG legt verplichtingen op aan bedrijven die persoonlijke informatie controleren of verwerken en introduceert nieuwe rechten voor betrokkenen in de EU. Hoewel het van toepassing is op verwerkingen die worden uitgevoerd door organisaties binnen de Europese Economische Ruimte (EER), is het ook van toepassing op organisaties over de hele wereld die goederen of diensten aanbieden aan EU-burgers of mensen in de EU.

Het doel van deze openbare bedrijfsverklaring is om onze klanten de maatregelen te benadrukken en aan te tonen die we hebben getroffen om naleving van de AVG te garanderen wanneer we namens u persoonlijke gegevens bewaren of verwerken.

2. Onze AVG-principes

• Wij zullen persoonsgegevens eerlijk en rechtmatig verwerken.
• We verwerken persoonlijke gegevens alleen voor de wettige redenen waarvan we zeggen dat we dat doen.
• We zullen ervoor zorgen dat we relevante en nauwkeurige gegevens bewaren en deze waar mogelijk up-to-date houden.
• We zullen persoonlijke gegevens niet langer bewaren of bewaren dan nodig is om aan onze contractuele verplichtingen met onze klanten te voldoen.
• We zullen alle persoonlijke gegevens beveiligen met behulp van moderne, best practice technieken en technologieën.
• Wij zullen ervoor zorgen dat persoonlijke gegevens niet worden overgedragen naar landen buiten de Europese Economische Ruimte (EER) zonder dat er voldoende waarborgen zijn getroffen.
• Wij doen geen zaken met kinderen en bewaren of verwerken niet bewust de persoonsgegevens van kinderen.

3. Onze benadering van de AVG

Lumi is;

• Een gegevensverwerker voor onze klanten (de gegevensbeheerder).
• Een gegevensbeheerder van de contactgegevens van onze klanten en leveranciers die we bewaren en verwerken om onze contracten uit te voeren, klantverzoeken te beheren en mensen te helpen die naar onze website komen.
• Een gegevensbeheerder voor onze werknemers, die hun persoonlijke gegevens bewaart en verwerkt.

Als onderdeel van ons voorbereidingsproces voor de AVG blijven we al onze interne processen, procedures, beleid, documentatie en systemen beoordelen en bijwerken. We zullen voldoen aan de AVG als gegevensverwerker en beheerder en we hebben samengewerkt met onze leveranciers en externe leveranciers om ervoor te zorgen dat we gezamenlijk aan onze verplichtingen en uw vereisten kunnen voldoen.

Tijdens ons traject naar naleving van de AVG hebben we nauw samengewerkt met onafhankelijke experts en adviseurs om ervoor te zorgen dat we over de expertise beschikken die nodig is om aan de regelgeving te voldoen. Wij beschouwen de AVG als een continu project dat in de loop van de tijd monitoring, verbetering en beheer zal vereisen.

Bij Lumi behandelen we informatiebeveiliging met het grootste belang en zijn we al op één lijn met een aantal best practice-normen uit de sector die zich concentreren op cyberbeveiliging, zoals ISO/IEC 27001 en PCI-DSS.

Met betrekking tot onze klanten, externe leveranciers of verkopers en eventuele subverwerkers: we hebben nauw samengewerkt met alle partijen om ook hun naleving te garanderen. Contracten en overeenkomsten zijn beoordeeld en wij zorgen ervoor dat de nodige organisatorische en technische controles, beleid en procedures aanwezig zijn, zodat we tevreden zijn over de vertrouwelijkheid, integriteit en beschikbaarheid van uw gegevens.

4. Datalekken

Op grond van de AVG zijn wij verplicht om onze klanten (de gegevensbeheerder) zonder onnodige vertraging op de hoogte te stellen van elk datalek. In bepaalde omstandigheden is het vereist dat deze kennisgeving zich uitstrekt tot de bevoegde nationale toezichthoudende autoriteit voor gegevensbescherming. Het hoofdkantoor van ons bedrijf is gevestigd in Groot-Brittannië, waar dit orgaan het Information Commissioner’s Office (ICO) is, https://ico.org.uk/. Lumi heeft er daarom voor gezorgd dat er robuuste processen en procedures zijn voor het identificeren, beoordelen en snel rapporteren van datalekken aan de relevante verwerkingsverantwoordelijke en autoriteiten.

In het geval van een datalek streven wij ernaar onze klant het volgende te bieden;

• Een beschrijving van de aard van de inbreuk.
• Contactgegevens van de persoon die verantwoordelijk is voor gegevensbescherming.
• Alle waarschijnlijke gevolgen of risico's van de inbreuk.
• Maatregelen die zijn genomen en voorgesteld om eventuele schadelijke effecten of risico’s voor personen te beperken.

5. Rechten van betrokkenen

Er zijn aanzienlijke verbeteringen aangebracht aan de rechten van betrokkenen onder de AVG, die de privacy en bescherming met betrekking tot de persoonlijke gegevens van individuen verbeteren. Lumi streeft ernaar nauw samen te werken met haar klanten namens wie wij gegevens bewaren en verwerken. Door deze samenwerking kunnen we het beste bepalen hoe we aansturen;

• Het afhandelen van verzoeken om toegang tot gegevens
• Bewaartermijnen
• Gegevens corrigeren
• Veilig wissen/vernietigen van gegevens
• Verzoeken om gegevensportabiliteit

Voor meer gedetailleerde informatie over deze rechten kunt u ons Privacybeleid raadplegen.

6. Wat we hebben gedaan

Zoals hierboven vermeld, beschouwen we de AVG nu als een alledaags onderdeel van het leven van Lumi. In dit gedeelte hebben we enkele van de maatregelen opgenomen die we al hebben genomen of nog steeds nemen, en het werk dat we hebben voltooid op onze weg naar naleving.

• We hebben de bestaande contracten met klanten, leveranciers, eventuele subverwerkers en externe leveranciers beoordeeld en gewijzigd. Zoals hierboven vermeld werken we nauw samen met deze instanties om ervoor te zorgen dat zij ook aan hun AVG-verplichtingen voldoen.
• We hebben onze rechtsgrondslagen voor het bewaren en verwerken van gegevens beoordeeld om ervoor te zorgen dat deze rechtmatig, eerlijk en transparant worden verwerkt.
• We blijven onze processen, procedures en beleid regelmatig herzien en bijwerken.
• Onze medewerkers zijn geïnformeerd, getraind en het bewustzijn blijft groeien. Al onze medewerkers zijn zich steeds meer bewust van hun zakelijke verantwoordelijkheden en nieuwe medewerkers worden opgeleid als onderdeel van het introductieproces.
• We hebben gegevensprivacy-impactbeoordelingen voltooid en ontvangen deze nog steeds. We heten alle klanten van harte welkom om met hun eigen gegevens contact met ons op te nemen.
• De technologie die we gebruiken om onze activiteiten uit te voeren, evolueert voortdurend en we beoordelen en analyseren onze platforms regelmatig om er zeker van te zijn dat ze voldoen aan de vereiste normen waaraan we ons verbinden.
• We zijn niet wettelijk verplicht om een DPO aan te stellen, maar we hebben bij Lumi iemand benoemd die verantwoordelijk is voor gegevensbescherming en privacy (zie hieronder voor meer informatie).
• Omdat systemen voortdurend veranderen en worden bijgewerkt, blijven we de informatie controleren die door Lumi stroomt en de gegevens in kaart brengen om te identificeren welke persoonlijk identificeerbare informatie we bewaren en verwerken, en waar.
• We verbeteren onze cyberbeveiliging en implementeren een ISMS volgens de geaccrediteerde ISO/IEC 27001-certificering.
• We hebben ons privacybeleid bijgewerkt om onze klanten en betrokkenen beter te helpen begrijpen wat we doen, onze wettelijke basis voor het bewaren en verwerken van informatie en om hun rechten in detail uit te leggen en hoe ze deze kunnen uitoefenen.
• We zijn veel duidelijker over het verkrijgen van toestemming met degenen die onze website kunnen bezoeken of degenen die hulp vragen via kanalen zoals onze ondersteuningsfunctie of het livechatteam.
• Als business-to-business-organisatie waren we niet verplicht om opnieuw toestemming te geven voor onze marketingbasis. We hebben echter gekeken naar degenen die al meer dan een jaar niet actief waren en hen gevraagd om opnieuw toestemming te geven.

7. Contactpersoon

Lumi hoeft geen Data Protection Officer (DPO) aan te stellen. We hebben echter onze Chief Technology Officer benoemd als de persoon met de algehele verantwoordelijkheid voor de AVG en gegevensprivacy en -bescherming, en is bereikbaar via privacy@lumiglobal.com.

8. Privacybeleid

Voor meer informatie over hoe wij omgaan met persoonlijke informatie kunt u ons Privacybeleid raadplegen, https://www.lumiglobal.com/nl/privacybeleid.

9. Wijzigingen in deze Verklaring

Om u op de hoogte te houden van hoe wij aan de wetgeving voldoen, kunnen wij deze verklaring van tijd tot tijd bijwerken. Deze verklaring wordt altijd hier op onze website gepubliceerd.

10. Documentrevisiegeschiedenis

• Versie 1.0 (25 mei 2018): Nieuw document (Dave Palmer).
• Versie 1.1 (7 december 2020): Bijgewerkte documentsjabloon, controlesecties en goedkeuringsprocessen.
• Versie 1.2 (15 oktober 2021): primair contact bijgewerkt.

11. Documentclassificatie

Deze verklaring is geclassificeerd als ‘Openbaar’ en is bedoeld voor publieke toegang.